62078 iphone sync эксплойт

Из iPhone можно вытащить пароли ко всем сервисам. Эту «дыру» невозможно исправить

Все смартфоны с Apple, начиная с iPhone 5S и заканчивая iPhone X, могут быть взломаны из-за таящейся в них аппаратной уязвимости, которую невозможно пропатчить. Проблема касается также и планшетов iPad, построенных на процессорах от А7 до А11. В новых моделях смартфонов и планшетов подобная «дыра» отсутствует.

Глобальная проблема iPhone

В смартфонах iPhone компании Apple выявлена новая уязвимость, угрожающая сохранности персональных данных их владельцев. «Дыру» обнаружили специалисты китайской команды разработчиков Pangu, и ее невозможно устранить путем выпуска патча к прошивке.

Эксперты Pangu отмечают, что для взлома смартфонов и планшетов Apple используется эксплойт Checkm8, который также применялся для джейлбрейка ряда версий iOS. Доступ к персональным данным осуществляется путем подбора пароля.

По умолчанию iOS блокирует устройство после десяти неверных попыток ввода пароля, но уязвимость Checkm8 позволяет обойти это ограничение. В итоге в руки хакера попадают все пароли владельца гаджета, включая данные для авторизации на различных ресурсах, включая Apple ID. Дополнительно он получает доступ к биометрическим данным, используемым системами безопасности Touch ID и Face ID.

Как работает уязвимость

Проблема кроется в модуле SEP (Secure Enclave Processor), используемом в iPhone iPad для хранения конфиденциальных, а также биометрических данных пользователя.

В составе мобильных гаджетов Apple SEP используется с 2013 г. – впервые он появился в составе процессора Apple A7, на котором базировались вышедшие в том же году смартфон iPhone 5S и планшеты iPad Air первого поколения и iPad mini 2.

По данным Pangu, самые современные iPhone взлому путем использования уязвимости в SEP не подвержены. Девелоперы отмечают, что проблема характерна для устройств на чипах с А7 по А11 включительно, так что владельцы iPhone и iPad на базе более современных А12 и А13, вышедших осенью 2018 г. и позднее, вне опасности.

Риск взлома невелик

Несмотря на то, что под угрозой утечки персональных данных оказались десятки и сотни миллионов владельцев устройств Apple, бояться им особенно нечего. Тот факт, что Apple не сможет удаленно устранить уязвимость программным способом, тоже не должен стать причиной для паники.

Для того, чтобы хакер смог провести взлом и украсть личные данные, ему потребуется получить физический доступ к устройству. Также у него может уйти определенное время на подбор пароля к iPad или iPhone, за которое подлинный владелец устройства может удаленно заблокировать его, попутно стерев всю информацию из его памяти.

Массовые угрозы взлома

Apple во второй раз за 2020 г. поставила владельцев своих гаджетов под угрозу утечки персональных данных. В середине мая 2020 г., как сообщал CNews, в штатном почтовое приложение (Mail) в смартфонах Apple iPhone была найдена серьезная брешь в системе безопасности.

С ее помощью хакеры могли взломать устройство, притом, в отличие от проблемы с сопроцессорами SEP, сделать это они могли удаленно. К тому же, если в случае с SEP проблема коснулась лишь определенных устройств, то данной уязвимости были подвержены все смартфоны Apple, число которых во всем мире, по данным самой компании, превышает 900 млн. Более того, об этой проблеме Apple узнала как минимум за месяц до того, как информация о ней проникла в интернет, но ее ИБ-эксперты не посчитали ее серьезной.

На самом деле, баги, позволяющие красть персональные данные владельцев гаджетов, присутствовали в iOS и раньше. Так, в феврале 2013 г. подобная проблема была выявлена в iOS 6.1 – она позволяла злоумышленникам, завладевшим iPhone с этой версией платформы, получать доступ к содержимому памяти, включая фотографии, контакты и другую персональную информацию, минуя пароль. Для того чтобы преодолеть парольную защиту, вору было необходимо всего лишь выполнить определенную серию манипуляций с устройством. Она включала нажатие на кнопку питания, кнопку «Экстренный вызов» и кнопку возврата на домашний экран, после чего нужно было подключить подключи гаджет к произвольному компьютеру с приложением iTunes. При этом в iTunes никакого пароля вводить для синхронизации не требовалось, и в итоге у злоумышленника открывался полный доступ ко всей информации в памяти устройства.

Источник

Question: Q: TCP Port 62078 on my iPad is open

TCP Port 62078 on my iPad is open with tcpwrappers — also UDP Port 5353 is open/filtered — is this normal? How can I close these ports? On my Macbook Pro they are closed. I do not like having open ports on my network.

iPad, iOS 6.1.3, iPad gen4

Posted on Apr 24, 2013 8:30 AM

Helpful answers

There is no firewall on the iPad, at least nothing accessible to a user other than as part of the Settings interface that activates and deactivates functions in the iPad, and and hence no way to custom-close any ports.

Apple doesn’t list use of any ports in the 62xxx range in their documentation, so I have no idea what that might be used for. 5353 is the Multicast DNS port used for Bonjour, AirPlay, Home Sharing, and printer discovery and is normal to be open. You can shut those ports off in your WiFi router or at your firewall for your WiFi system, but that may break functions in the iPad.

Apr 24, 2013 9:31 AM

The only thing I could find out about TCP Port 62078 is that it is referred to as iphone-sync and is used with the iTunes sync and is some how secured. UDP 5353 comes up in my nmap scan as open/filtered — also what UPD Port 5353 is used for on iPad is limited to the local network for mDNS. Also when my iPad is at home my Verizon FiOS Actiontec Router has a firewall, which I have turned on, so the iPad is fairly secure.

Apr 24, 2013 10:01 AM

There’s more to the conversation

Loading page content

Page content loaded

There is no firewall on the iPad, at least nothing accessible to a user other than as part of the Settings interface that activates and deactivates functions in the iPad, and and hence no way to custom-close any ports.

Apple doesn’t list use of any ports in the 62xxx range in their documentation, so I have no idea what that might be used for. 5353 is the Multicast DNS port used for Bonjour, AirPlay, Home Sharing, and printer discovery and is normal to be open. You can shut those ports off in your WiFi router or at your firewall for your WiFi system, but that may break functions in the iPad.

Apr 24, 2013 9:31 AM

The only thing I could find out about TCP Port 62078 is that it is referred to as iphone-sync and is used with the iTunes sync and is some how secured. UDP 5353 comes up in my nmap scan as open/filtered — also what UPD Port 5353 is used for on iPad is limited to the local network for mDNS. Also when my iPad is at home my Verizon FiOS Actiontec Router has a firewall, which I have turned on, so the iPad is fairly secure.

Apr 24, 2013 10:01 AM

Also when my I turn off WIFI and turn on Cellular on my iPad — TCP Port 62078 is stealth and so is UDP Port 5353.

Apr 24, 2013 10:13 AM

Same problem notified here on my ipad mini with IOS7.

62078 tcp open ttcpwrapped..

I will pay more attention with Firewall iP application for iphone/ipad

Jan 29, 2014 5:22 PM

The port is a back door for the NSA so they can stream corrupt boot images for not only your idevices, but your other equipment too. Port 8021 on 127.0.0.1 is also always listening which allows sip commands to be diverted to localhost. That is why you won’t find documentation.

Jul 24, 2014 12:11 AM

Hahaha, you must be American, fella!!

Jul 28, 2014 1:07 PM

I maintain a firewall for our corporate network and management asked for a mDNS proxy so that their iPhones on our Wi-Fi network could see our Airprint printers on the Ethernet LAN. I regularly see firewall log entries for traffic from desktops on the LAN to iPhones on the Wi-Fi network. At first it seemed random, but then I realised that the desktops and the iPhones were assigned to the same user in each case. The iPhones have presumably been paired with the desktop (iTunes) in the past and the iPhones are using mDNS / Bonjour to look for desktops that they have been previously paired with. The desktops are communicating from ports in the range of 60289 to 62089 and always direct to port 62078 on the iPhone. We don’t have iPads on our network (as far as I know!), but from the Original Poster, it appears that this may also be the case with iPads.

A little bit of digging found an article about Juice Jacking : http://www.zdziarski.com/blog/?p=2345

So this port is used for iPhone or iPad Wi-Fi synching, as mentioned by rjw1678. Once a pairing has been established with a computer, then your iPhone or iPad will always try to pair with this device until such time as you perform a factory restore on the iPhone / iPad.

Nov 10, 2014 1:55 AM

If you download a software or application that allows you to ‘scan services’ like Fing and scan services on your apple device, you will find a site that dislays a messages sent by someone called ‘Zibri’. What is this?

Jun 25, 2015 4:31 PM

Question: Q: TCP Port 62078 on my iPad is open More Less

Источник

любой способ обнаружения iPads или iPhones в беспроводной сети? Бонжур?

Я пытаюсь обнаружить устройства Apple, подключенные к беспроводной сети. Это относительно просто с помощью Bonjour, однако я также пытаюсь определить, что это за устройство. Например, MacBook Air, MacBook Pro, MacPro, iPhone, iPod или iPad.

я обнаружил, что запросы Bonjour на MacBook и MacPros включают ответ «дополнительный раздел» на запрос, который включает в себя модель:

от тестирования iPhone (3GS и 4), iPod touch и iPad2, все iDevices отвечают только своим именем:

очевидно, что имя может не отражать устройство. Поэтому я не хотел бы пытаться экстраполировать тип устройства из названия. Кто-нибудь знает другие способы обнаружения типов iDevice?

Edit: просто чтобы быть ясным, команда, которую я использую: dig @224.0.0.251-p5353-x 192.168.1.111 . замена IP-адреса устройства Apple

2 ответов

использовать порт 62078

самый надежный индикатор, который я видел, — это возможность подключения к IP-порту 62078.

порт 62078 используется для службы «iphone-sync», и я не думаю, что MacBooks используют его. Этот порт всегда кажется открытым для iPhones и iPads в нашей (очень маленькой) сети.

возможно (но не вероятно) есть сообщения, которые вы можете отправить в порт, чтобы вынюхать более подробную информацию.

Я думаю, официальный xml список назначений портов здесь, хотя он не работал для меня сейчас: http://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xml

MAC-адрес

теоретически MAC-адреса могут помочь, но, вероятно, не очень полезны, если вы не можете найти место, которое поддерживает надежный список диапазонов (например, фирма сетевой безопасности или поставщик оборудования). MAC-адреса зависят от фактических используемых чипов (или вспыхнул МАК). База данных находится на уровне организации (хотя организации иногда предпочитают использовать определенные диапазоны для определенных устройств).

http://standards.ieee.org/develop/regauth/oui/public.html позволяет загрузить базу данных «организационно уникальных идентификаторов», или вы можете найти» Apple», или первые три байта MAC-адреса, например 00264A.

Anecdotally, поиск MAC не работает. Первые три цифры моего iPad MAC 28-68-BA, и это ничего не дает.

пользовательский агент

протокол Bonjour Apple использует многоадресный DNS (mDNS), работающий на UDP — порту 5353, и отправляет на эти зарезервированные групповые адреса: IPv4 Group Address — 224.0.0.251, IPv6 Group Address — FF02::FB -ссылка.

Это поможет получить push-уведомление, когда устройства Apple подключаются к локальной сети (link-local), прослушивая многоадресные сообщения на 5353 UDP. Возможно, понюхайте пакет и посмотрите, есть ли в нем дополнительная информация 🙂

хотя я предполагаю, что Bonjour API также позволяет видеть это.

вы также можете использовать утилиту Airport для этого вручную :

1) открытый AirportUtility 2) Перейдите в раздел » беспроводные клиенты «(наведите курсор мыши на стрелку и нажмите на нее) 3) перейдите к DHCP-клиентам,и вы увидите iPad, iPhone, имя компьютера и т. д. как столбец ID клиента.

Источник

How to interface with iOS lockdownd

I used nmap to portscan my iPod Touch, and found a single port open, which was port 62078, labeled as «iphone-sync». I did some research, and found that the proccess behind it was a program called «lockdownd» which could be used to interface with the iPod.

I was wondering if and how I could use this to interface with and possibly control my iPod.

2 Answers 2

Port 62078 is the port on which the iOS lockdown daemon listens on. Normally it is interacted with via usbmuxd which is a protocol that allows arbitrary TCP connections to be made over a USB connection.

lockdownd can be used to do a lot of nifty things with the built-in services Apple expose on unjailbroken devices. The goto library for interfacing with this service seems to be libimobiledevice which is an open-source library implementing the usbmuxd and other iOS protocols. For a better overview of the capabilities of lockdownd and the iMobileDevice library, take a look at some of the packaged tools the library provides. If you know C, the source code for these tools is here.

Obviously (and someone has already mentioned this in a comment), it can be used for syncing the device over WiFi because iTunes does it.

However, the interface is undocumented, and as such unsupported by Apple.

Another option, if you are looking at controlling the device remotely and generally having fun with it, would be to jailbreak it and writing your own control software that would run on the phone. That would allow you to connect over an interface you would create yourself.

Such software may even already exist in the jailbreak community.

Источник

pwnsdx / 62078.md

Why should I disable this port?

Apple enable this port by default if you want Wi-Fi Sync. The problem is, I (and probably you) never used this so this port should not be open. Enabling this port by default is a security risk as there is always an undocumented service (lockdownd) listening on this port.

This is an non-exhaustive list of what you are exposing to if you don’t close this port:

• If an attacker get the pairing keys of your iDevice, he can dump the whole content of your device transparently as soon as he is on the same network as you (at Home, Work, in a Café, in a Fast Food etc) or if he have access to your cellular network (yes, the port is open on all interfaces including cellular) e.g. if the NSA have access to AT&T network or if DGSE have access to Orange network (which is true: http://www.france24.com/fr/20140320-dgse-renseignement-espionage-nsa-donnees-operateur-orange-snowden/ ) or even if your neighbor have set up a IMSI-Catcher.
• It make the iOS device easily identifiable only by pinging the port (or, for example on Nmap with the OS fingerprinting technique).
• You may be exposed to DoS attack (e.g. SYN Flood)
• 0Days and hidden backdoors are everywhere today (like this one: http://www.theregister.co.uk/2014/07/21/ios_firmware_contains_packet_sniffer_and_host_of_secret_spying_tools/ ) so having a port owned by root that you don’t even use and have the control of on a smartphone is a suicide mission.

Uh, how to disable this then?

Well, there is only one way to disable this. You have to use the hidden firewall in iOS: Packet Filter (pf). This tutorial will explain to you how to configure and use it.

• A jailbroken iOS device
• iFile package or any file explorer
• MobileTerminal package or any SSH terminal to execute commands on the iOS device
• Only tested on iOS 7 for now and it works well. Feel free to test on iOS 6/8 and let me know if this worked 🙂

Remember to get «root» on iOS you have to do «su» in the terminal before everything. The default password is «alpine» (I suggest you to change it by using the «passwd» command for better security).

So let’s get started:

Create the file /etc/pf.conf and put the pf.conf content inside of it.

Create the file /etc/pf.os and put the pf.os content inside of it.

Create the file /System/Library/LaunchDaemons/com.apple.pfctl.plist and put the com.apple.pfctl.plist content inside of it.

Reboot & Enjoy. The Sync port will not be accessible from Wi-Fi/Bluetooth/Cellular anymore.

• The port is blocked on all interfaces except lo0 (blocking on this interface will break USB connection). But as it is not blocked, malicious apps may still be able to connect on this port.
• The point (1) in the risks is almost theorical.
• Apple has been contacted about this and never answered this issue.

IMPORTANT: The step 3 is now working well. If you ever want to start pf manually here is the command (as root):

and to disable it:

This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters. Learn more about bidirectional Unicode characters

xml version = » 1.0 » encoding = » UTF-8 » ?>

DOCTYPE plist PUBLIC «-//Apple//DTD PLIST 1.0//EN» «http://www.apple.com/DTDs$

dict >

key > Disabled key >

false/>

key > Label key >

string > com.apple.pfctl string >

key > Program key >

string > /sbin/pfctl string >

key > ProgramArguments key >

array >

string > pfctl string >

string > -f string >

string > /etc/pf.conf string >

string > -e string >

array >

key > RunAtLoad key >

true/>

key > WorkingDirectory key >

string > /var/run string >

dict >

plist >

This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters. Learn more about bidirectional Unicode characters

# Options

set block-policy drop

set ruleset-optimization basic

set skip on lo0

# Block the 62078 port

block in proto tcp from any to any port 62078

# DO NOT TOUCH THIS COMMENT (pf.conf file must have an return line at the end of the file in order to run)

This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters. Learn more about bidirectional Unicode characters

Источник